Como pensar como um ator de ameaças
Minha equipe contou a história de um ataque de ponta a ponta. Ligamos os pontos entre as diferentes fases de uma cadeia de ataque de invasores para entender melhor as causas raiz de um ataque e entender o que está acontecendo em um relance.
Também copiamos o pensamento e as técnicas de um invasor.
Os invasores abordam o mundo em termos de objetivos e sequências de atividades. Eles reúnem diferentes técnicas (e é por isso que chamamos essas histórias como “cadeias de ataque”) e percorrem os caminhos mais benéficos para eles. Não é um processo linear. Chamamos essa técnica de pensar em grafos.
Como defensores, adotamos a mesma mentalidade. Não podemos nos condenar a pensar em listas, tentando remontar todo o quebra-cabeça enquanto um ataque está em andamento. Em um relance, precisamos saber como os invasores obtiveram acesso, como eles estão se movendo lateralmente e o que estão trabalhando para alcançar.
Os defensores identificam a atividade mal-intencionada com mais precisão quando compreendem a sequência dessas atividades em conjunto, e não apenas as técnicas individuais isoladas.
Um ótimo exemplo é quando analisamos uma série recente de ataques de fraude financeira e percebemos como os invasores usaram uma configuração de proxy reverso para contornar a autenticação multifator (MFA). Observamos os sinais de desvio da MFA e prestamos a atenção em outros casos em que a técnica emergente apareceu. O que aprendemos sobre a coleta de credenciais a partir da nossa capacidade de ligar esses pontos nos permite antecipar a resposta ao ataque. E assim melhoramos nossa defesa.
Quando perguntam o que pode ser feito para melhorar a proteção de uma organização, sempre digo a mesma coisa: Aproveitar consistentemente a MFA é crítico. É uma das recomendações mais importantes que fornecemos. Uma das coisas mais essenciais que as empresas podem fazer para se defender melhor é tentar alcançar esse ambiente sem senha, pois isso desativa todas as técnicas de invasores emergentes. O uso apropriado da MFA faz os invasores trabalharem muito mais. E se eles não conseguem obter acesso a uma identidade e à sua organização, lançar um ataque fica muito mais complicado.
Siga a Microsoft